Cisco ISE: Einführung, Anforderungen, Installation. Teil 1

1. Einführung

Jedes Unternehmen, selbst das kleinste, hat den Bedarf an Authentifizierung, Autorisierung und Benutzerverwaltung (Familie der AAA-Protokolle). In der Anfangsphase lässt sich AAA gut mit Protokollen wie RADIUS, TACACS+ und DIAMETER umsetzen. Mit der Zunahme der Benutzer und Unternehmen steigen jedoch auch die Anforderungen: maximale Sichtbarkeit von Hosts und BYOD-Geräten, Multi-Faktor-Authentifizierung, Erstellung von mehrstufigen Zugriffskontrollrichtlinien und vieles mehr.

Für solche Aufgaben eignet sich die Klasse der NAC (Network Access Control) Lösungen – Kontrolle des Netzwerkzugriffs. In einer Artikelreihe, die Cisco ISE (Identity Services Engine) – einer NAC-Lösung zur Bereitstellung des Zugriffs für Benutzer auf das interne Netzwerk unter Berücksichtigung des Kontexts – werden wir die Architektur, die Initialisierung, die Konfiguration und die Lizenzierung der Lösung ausführlich untersuchen.

Ich möchte kurz daran erinnern, dass Cisco ISE Folgendes ermöglicht:

• Schnell und einfach Gastzugang in einem dedizierten WLAN zu erstellen;

• BYOD-Geräte zu erkennen (zum Beispiel die Heim-PCs von Mitarbeitern, die sie mit zur Arbeit bringen);

• Richtlinien zur Sicherheit zu zentralisieren und auf domänen- und nicht-domänengebundene Benutzer mit Sicherheitsgruppen-Tags (SGT) anzuwenden (Technologie TrustSec);

• Computer auf das Vorhandensein bestimmter Software zu überprüfen und die Standards einzuhalten (Posturing);

• Endgeräte und Netzwerkgeräte zu klassifizieren und zu profilieren;

• Sichtbarkeit der Endgeräte bereitzustellen;

• Protokolle der Benutzeranmeldung/-abmeldung, ihrer Identitäten (Identity) an NGFW zur Erstellung benutzerbasierter Richtlinien zu übergeben;

• Nativ mit Cisco StealthWatch zu integrieren und verdächtige Hosts, die an Sicherheitsvorfällen beteiligt sind, in Quarantäne zu stellen (mehr Details);

• Und andere standardmäßige Funktionen eines AAA-Servers.

Zu Cisco ISE haben bereits Kollegen aus der Branche geschrieben, daher empfehle ich, sich weiter zu informieren: Praxis der Implementierung von Cisco ISE, Wie man sich auf die Implementierung von Cisco ISE vorbereitet.

2. Architektur

In der Architektur des Identity Services Engine gibt es 4 Entitäten (Nodes): Node für das Management (Policy Administration Node), Node für die Richtlinienverteilung (Policy Service Node), Monitoring-Node (Monitoring Node) und PxGrid-Node (PxGrid Node). Cisco ISE kann in einer eigenständigen (standalone) oder verteilten (distributed) Installation eingesetzt werden. Im Standalone-Variante befinden sich alle Entitäten auf einer virtuellen Maschine oder einem physischen Server (Secure Network Servers — SNS), während in der verteilten Konfiguration die Nodes auf verschiedene Geräte verteilt sind.

Policy Administration Node (PAN) — eine erforderliche Node, die alle administrativen Operationen auf Cisco ISE ermöglicht. Sie verarbeitet alle Systemkonfigurationen, die mit AAA verbunden sind. In einer verteilten Konfiguration (Nodes können als separate virtuelle Maschinen installiert werden) können Sie maximal zwei PAN für die Ausfallsicherheit haben — Aktiv/Standby-Modus.

Policy Service Node (PSN) — eine erforderliche Node, die Zugriff auf das Netzwerk, Zustand, Gastzugang, Dienstbereitstellung für Kunden und Profilierung bietet. PSN bewertet die Richtlinie und wendet sie an. In der Regel wird PSN mehrfach installiert, insbesondere in einer verteilten Konfiguration, um eine redundantere und verteilte Arbeitsweise zu ermöglichen. Diese Nodes werden in verschiedenen Segmenten installiert, um keinen Moment die Möglichkeit zu verlieren, authentifizierten und autorisierten Zugang zu gewährleisten.

Monitoring Node (MnT) — eine erforderliche Node, die Ereignisprotokolle, Protokolle anderer Nodes und Richtlinien im Netzwerk speichert. Die MnT-Node bietet erweiterte Werkzeuge zur Überwachung und Fehlerbehebung, sammelt und korreliert verschiedene Daten und stellt aussagekräftige Berichte bereit. Cisco ISE erlaubt maximal zwei MnT-Nodes, wodurch eine Ausfallsicherheit im Aktiv/Standby-Modus geschaffen wird. Beide Nodes, die aktive und die passive, sammeln jedoch die Protokolle.

PxGrid Node (PXG) — eine Node, die das PxGrid-Protokoll anwendet und die Kommunikation zwischen anderen Geräten, die PxGrid unterstützen, ermöglicht.

PxGrid  — ein Protokoll, das die Integration von IT- und Sicherheitsinfrastrukturprodukten verschiedener Anbieter ermöglicht: Überwachungssystemen, Systeme zur Erkennung und Verhinderung von Eindringlingen, Sicherheitsrichtlinienverwaltungsplattformen und vielen anderen Lösungen. Cisco PxGrid ermöglicht den Austausch von Kontext in unidirektionalen oder bidirektionalen Modi mit vielen Plattformen, ohne dass APIs benötigt werden, und ermöglicht so den Einsatz der Technologie. TrustSec (SGT-Tags), die ANC (Adaptive Network Control)-Richtlinien ändern und anwenden sowie Profilierung durchführen – die Bestimmung des Gerätemodells, des Betriebssystems, des Standorts und mehr.

In einer Konfiguration mit hoher Verfügbarkeit replizieren PxGrid-Knoten Informationen zwischen den Knoten über PAN. Wenn PAN ausfällt, hört der PxGrid-Knoten auf, Benutzer zu authentifizieren, zu autorisieren und zu zählen. 

Im Folgenden wird schematisch die Funktionsweise verschiedener Cisco ISE-Entitäten in einem Unternehmensnetzwerk dargestellt.

Abbildung 1. Architektur von Cisco ISE

3. Anforderungen

Cisco ISE kann, wie die meisten modernen Lösungen, virtuell oder physisch auf einem dedizierten Server bereitgestellt werden. 

Physische Geräte mit installierter Cisco ISE-Software werden als SNS (Secure Network Server) bezeichnet. Es gibt drei Modelle: SNS-3615, SNS-3655 und SNS-3695 für kleine, mittlere und große Unternehmen. In Tabelle 1 sind Informationen aus dem Datenblatt SNS aufgeführt.

Tabelle 1. Vergleichstabelle von SNS für verschiedene Größenordnungen

Parameter

SNS 3615 (Klein)

SNS 3655 (Mittel)

SNS 3695 (Groß)

Anzahl der unterstützten Endgeräte in einer Standalone-Installation

10000

25000

50000

Anzahl der unterstützten Endgeräte für jeden PSN

10000

25000

100000

CPU (Intel Xeon 2,10 GHz)

8 Kerne

12 Kerne

12 Kerne

RAM 

32 GB (2 x 16 GB)

96 GB (6 x 16 GB)

256 GB (16 x 16 GB)

HDD

1 x 600 GB

4 x 600 GB

8 x 600 GB

Hardware RAID

Nein

RAID 10, RAID-Controller vorhanden

RAID 10, RAID-Controller vorhanden

Netzwerkschnittstellen

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T

Für virtuelle Bereitstellungen werden VMware ESXi-Hypervisoren unterstützt (mindestens VMware-Version 11 für ESXi 6.0), Microsoft Hyper-V und Linux KVM (RHEL 7.0). Die Ressourcen sollten ungefähr wie in der obigen Tabelle oder mehr sein. Dennoch sind die minimalen Anforderungen an eine virtuelle Maschine für kleine Unternehmen: 2 CPU mit einer Frequenz von 2,0 GHz oder höher, 16 GB RAM und 200 GB HDD. 

Für weitere Details zur Bereitstellung von Cisco ISE wenden Sie sich bitte an uns oder an Ressource Nr.1, Ressource Nr.2.

4. Installation

Wie die meisten anderen Cisco-Produkte kann ISE auf verschiedene Weise getestet werden:

• dcloud – Cloud-Service für vorinstallierte Laborvorlagen (Cisco-Konto erforderlich);

• GVE-Anfrage – Anfrage mit der Website bestimmter Software von Cisco (Methode für Partner). Sie erstellen einen Fall mit folgender typischer Beschreibung: Produkttyp [ISE], ISE-Software [ise-2.7.0.356.SPA.x8664], ISE-Patch [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];

• Pilotprojekt — Wenden Sie sich an einen autorisierten Partner, um ein kostenloses Pilotprojekt durchzuführen.

1) Wenn Sie eine virtuelle Maschine erstellt haben und eine ISO-Datei angefordert haben und kein OVA-Vorlage, erscheint ein Fenster, in dem ISE Sie zur Auswahl der Installation auffordert. Verwenden Sie dazu anstelle von Login und Passwort "setup«!

Hinweis: Falls Sie ISE aus einer OVA-Vorlage bereitgestellt haben, lauten die Anmeldedaten admin / MyIseYPass2 (das und vieles mehr ist in der offiziellen Dokumentation).

Abbildung 2. Installation von Cisco ISE

2) Anschließend müssen die erforderlichen Felder wie IP-Adresse, DNS, NTP und andere ausgefüllt werden.

Abbildung 3. Initialisierung von Cisco ISE

3) Nach dem Neustart des Geräts können Sie sich über die zuvor festgelegte IP-Adresse im Webinterface anmelden.

Abbildung 4. Webinterface von Cisco ISE

4) Im Tab Administration > System > Bereitstellung Sie können auswählen, welche Knoten (Entitäten) auf dem jeweiligen Gerät aktiviert sind. Der PxGrid-Knoten wird hier ebenfalls aktiviert.

Abbildung 5. Verwaltung von Entitäten in Cisco ISE

5) Gehen Sie dann zum Tab Administration > System > Benutzerzugriff > Authentifizierung Ich empfehle, die Passwortpolitik, die Authentifizierungsmethode (Zertifikat oder Passwort), das Ablaufdatum des Kontos und andere Einstellungen festzulegen.

Abbildung 6. Konfiguration der AuthentifizierungsmethodeAbbildung 7. Einstellungen der PasswortpolitikAbbildung 8. Konfiguration der Deaktivierung von Konten nach Ablauf der ZeitAbbildung 9. Konfiguration der Kontosperrung

6) Im Tab Administration > System > Benutzerzugriff > Administratoren > Administratorbenutzer > Hinzufügen können Sie einen neuen Administrator erstellen.

Abbildung 10. Erstellung eines lokalen Administrators für Cisco ISE

7) Der neue Administrator kann Teil einer neuen Gruppe oder bereits vordefinierter Gruppen sein. Die Verwaltung von Administratorgruppen erfolgt in demselben Bereich im Tab Admin-Gruppen. In Tabelle 2 sind Informationen über die ISE-Administratoren, deren Berechtigungen und Rollen zusammengefasst.

Tabelle 2. Gruppen von Administratoren in Cisco ISE, Zugriffsebenen, Berechtigungen und Einschränkungen

Name der Administratorgruppe

Berechtigungen

Einschränkungen

Customization Admin

Konfiguration von Gast- und Sponsorportalen, Verwaltung und Anpassung

Unfähigkeit, Richtlinien zu ändern, Berichte einzusehen

Helpdesk Admin

Möglichkeit, das Hauptdashboard, alle Berichte, Alarme anzuzeigen und Probleme in den Datenströmen zu beheben

Keine Möglichkeit, Berichte, Alarme und Authentifizierungsprotokolle zu ändern, zu erstellen oder zu löschen

Identity Admin

Verwaltung von Benutzern, Berechtigungen und Rollen, Möglichkeit, Protokolle, Berichte und Alarme einzusehen

Keine Möglichkeit, Richtlinien zu ändern oder Aufgaben auf Betriebssystemebene auszuführen

MnT Admin

Umfassendes Monitoring, Berichte, Alarme, Protokolle und deren Verwaltung

Keine Möglichkeit, irgendwelche Richtlinien zu ändern

Network Device Admin

Rechte zur Erstellung und Änderung von ISE-Objekten, Einsichtnahme in Protokolle, Berichte und das Hauptdashboard

Keine Möglichkeit, Richtlinien zu ändern oder Aufgaben auf Betriebssystemebene auszuführen

Policy Admin

Vollständige Verwaltung aller Richtlinien, Änderung von Profilen, Einstellungen und Einsichtnahme in Berichterstattung

Keine Möglichkeit, Einstellungen mit Anmeldeinformationen oder ISE-Objekten vorzunehmen

RBAC Admin

Alle Einstellungen im Tab Operations, Einstellung der ANC-Richtlinie, Verwaltung der Berichterstattung

Keine Möglichkeit, andere als die ANC-Richtlinie zu ändern, oder Aufgaben auf Betriebssystemebene auszuführen

Super Admin

Rechte für alle Einstellungen, Berichterstattung und Verwaltung, kann die Anmeldeinformationen von Administratoren löschen und ändern

Kann kein anderes Profil aus der Gruppe Super Admin ändern oder löschen

System Admin

Alle Einstellungen im Tab Operations, Verwaltung der Systemeinstellungen, ANC-Richtlinie und Einsichtnahme in Berichterstattung

Keine Möglichkeit, andere als die ANC-Richtlinie zu ändern, oder Aufgaben auf Betriebssystemebene auszuführen

External RESTful Services (ERS) Admin

Vollständiger Zugriff auf das REST API von Cisco ISE

Nur zur Authentifizierung, Verwaltung von lokalen Benutzern, Hosts und Sicherheitsgruppen (SG)

External RESTful Services (ERS) Operator

Rechte zum Lesen des REST API von Cisco ISE

Nur zur Authentifizierung, Verwaltung von lokalen Benutzern, Hosts und Sicherheitsgruppen (SG)

Abbildung 11. Vorgefertigte Gruppen von Cisco ISE-Administratoren

8) Zusätzlich im Tab Authorization > Permissions > RBAC Policy Die Rechte vordefinierter Administratoren können bearbeitet werden.

Abbildung 12. Verwaltung der Berechtigungen vordefinierter Profile von Cisco ISE-Administratoren

9) Im Tab Administration > System > Einstellungen alle Systemeinstellungen (DNS, NTP, SMTP und andere) sind verfügbar. Sie können sie hier ausfüllen, falls Sie sie bei der ursprünglichen Inbetriebnahme des Geräts übersehen haben.

5. Fazit

Damit endet der erste Artikel. Wir haben die Effektivität der NAC-Lösung Cisco ISE, ihre Architektur, die minimalen Anforderungen und die Bereitstellungsoptionen sowie die Ersteinrichtung besprochen.

Im nächsten Artikel werden wir die Erstellung von Benutzerkonten, die Integration mit Microsoft Active Directory sowie die Erstellung von Gastzugängen behandeln.

Wenn Sie Fragen zu diesem Thema haben oder Unterstützung bei der Produktprüfung benötigen, wenden Sie sich bitte an dem Link.

Bleiben Sie über Updates in unseren Kanälen informiert (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Quelle: habr.com